EU AI Act analysis

Analyse sommaire de la loi sur l'IA

La loi européenne sur l'IA introduit la notion de système d'IA à haut risque qui sont soumis à une évaluation avant leur entrée sur le marché ainsi qu'à l'obligation d'enregistrement (article 6). 

Les systèmes d'IA à haut risque comprennent (annexe III), entre autres,  

En lien avec Éducation et formation professionnelle - ceux:

• destiné à être utilisé pour déterminer l'accès ou l'admission dans des établissements de tous niveaux
• destiné à être utilisé pour évaluer les résultats d'apprentissage
• destiné à être utilisé dans le but d'évaluer le niveau d'éducation dans le contexte des établissements d'enseignement et de formation professionnelle à tous les niveaux.

En lien avec Emploi, gestion des travailleurs et accès au travail indépendant - ceux:

• destiné à être utilisé pour le recrutement ou sélection de personnes physiques, notamment pour diffuser des offres d'emploi ciblées, analyser et filtrer les candidatures, et évaluer les candidats ;
• destiné à être utilisé pour prendre des décisions affectant les conditions des relations de travail, la promotion ou la résiliation des relations contractuelles liées au travail, à répartir les tâches fondé sur le comportement individuel ou les traits ou caractéristiques personnels ou à surveiller et évaluer les performances et le comportement des personnes dans de telles relations.

En lien avec Assurance-crédit, vie et santé, etc. (services et prestations essentiels privés et publics) — ceux-ci :

• destiné à être utilisé par les autorités publiques ou pour le compte des autorités publiques afin d’évaluer l’éligibilité des personnes physiques aux services de santé ;
• destiné à être utilisé pour évaluer la solvabilité des personnes physiques ou établir leur cote de crédit ;
• destiné à être utilisé pour l'évaluation des risques et tarification en ce qui concerne les personnes physiques dans le cas de assurance vie et santé;

En lien avec Application de la loi, migration, administration de la justice et processus démocratiques (élections et vote).

Outre les modèles d'IA à haut risque, la loi reconnaît les modèles d'IA à usage général et leur impose également des obligations. Les fournisseurs de modèles d'IA à usage général doivent conserver la documentation technique et la mettre à la disposition des autorités et des fournisseurs de systèmes d'IA qui envisagent de les intégrer à leurs systèmes (article 53).

En outre, la loi définit des critères de classification Les modèles d'IA à usage général comme présentant un risque systémiqueLes modèles sont considérés comme présentant un risque systémique s'ils possèdent des capacités à fort impact, évaluées au moyen d'outils et de méthodologies techniques (article 51). Leurs fournisseurs doivent évaluer les modèles selon des protocoles standardisés, évaluer et atténuer les risques systémiques, signaler les incidents graves et garantir la cybersécurité. Ils peuvent adhérer à des codes de bonnes pratiques (en attendant la publication d'une norme harmonisée) ou démontrer d'autres moyens de se conformer aux exigences. 

Le document est adressé à deux grands groupes de sujets: les fournisseurs (fabricants) des systèmes d'IA et leurs déployeurs. 

Fournisseurs supportent la partie la plus stricte des obligations, y compris la gestion de la qualité, les actions correctives en cas de violation présumée et le devoir d'information, etc. Pourtant, chaque participant de la soi-disant chaîne de valeur de l'IA — distributeurs, importateurs, déployeurs ou tiers — devient fournisseur de systèmes d'IA à haut risque s'il rebaptise, modifie substantiellement ou change la finalité prévue d'un système d'IA, le rendant ainsi à haut risque (article 25).  

Du côté des prestataires,—

Les systèmes d'IA à haut risque doivent faire l'objet d'une gestion continue des risques (article 9), d'une gouvernance des données à des fins de formation et autres (article 10), et leur documentation technique doit être conservée et mise à la disposition des organismes publics (article 11). Ces systèmes doivent permettre techniquement l'enregistrement automatique des événements (journaux) tout au long de leur cycle de vie (article 12) et disposer d'un système de gestion de la qualité (articles 16 et 17).

Quant aux fournisseurs (développeurs) de systèmes d'IA, ils doivent s'assurer que leur fonctionnement est suffisamment transparentCes instructions doivent permettre aux utilisateurs de comprendre et d'utiliser correctement les résultats obtenus. Elles doivent également détailler les mesures de supervision humaine, les exigences en matière de calcul et de matériel, les besoins de maintenance et les mécanismes de journalisation afin de garantir un fonctionnement optimal et la conformité (article 13).

Déployeurs Les systèmes d'IA à haut risque doivent s'assurer qu'ils sont utilisés conformément aux instructions. supervision humaine compétenteet surveiller leur fonctionnement. Ils doivent gérer les données d'entrée, conserver les journaux pendant au moins six mois et informer les fournisseurs et les autorités de tout risque ou incident (article 26).   

Du côté des déployeurs,—

Les systèmes d'IA à haut risque doivent être conçus et développés de manière à pouvoir être efficacement supervisés par des personnes physiques. À cette fin, le système d'IA à haut risque doit être fourni au déployeur de façon à ce que les personnes physiques chargées de la supervision humaine puissent (article 14) : 

• bien comprendre ses capacités et ses limites pertinentes ;
• rester vigilant face à la tendance possible à se fier systématiquement et excessivement à leurs résultats (biais d'automatisation) ;
• interpréter correctement les résultats du système d'IA à haut risque ;
• intervenir dans les opérations — arrêter, modifier ou inverser la sortie du système d'IA à haut risque.

Avant de déployer certains systèmes d'IA à haut risque, certaines entités privées doivent effectuer une évaluation de l'impact sur les droits fondamentaux, en décrivant l'utilisation, les groupes concernés, les risques, le contrôle humain et les mesures d'atténuation. Les déployeurs doivent notifier les résultats aux autorités à l'aide d'un modèle fourni (article 27). 

Du côté des fournisseurs et des déployeurs,—

La loi impose des obligations de transparence aux fournisseurs et aux déployeurs de certains systèmes d'IA (article 50) :

• Le contenu généré ou manipulé par l'IA doit être clairement marqué et détectable générés artificiellement.
• Les textes générés par l'IA doivent être signalés comme tels.
• L'information doit être fournie de manière claire, distincte et accessible.
• La Commission élaborera des lignes directrices sur la mise en œuvre pratique des obligations de transparence.

Pour exercer une gouvernance appropriée, la Commission européenne a créé le Bureau de l’IA (article 64).  

Que signifient concrètement ces exigences de la loi européenne sur l'IA ?

Cela peut signifier que dans certains domaines, notamment l'éducation et la formation, l'emploi et les relations de travail, ainsi que les services financiers liés au crédit et à l'assurance, l'utilisation de modèles d'IA dans les opérations commerciales devient très réglementée. Cela ouvre la voie à des poursuites judiciaires contre ceux qui ne se conforment pas à la réglementation, ce qui représente un risque financier considérable pour les entreprises qui exploitent ce que l'on appelle des systèmes d'IA à haut risque.

Par exemple, les entreprises privées qui gèrent des services de facilitation ou de courtage financier peuvent ne plus utiliser l'IA (comme auparavant) pour simuler ou tenter de déterminer la cote de crédit ou la disponibilité et le prix des services financiers ou d'assurance. 

De plus, de nombreuses applications mobiles et sites web qui utiliseraient l'IA pour évaluer le niveau d'aptitude d'une personne à un niveau d'éducation ou de langue quelconque ne pourraient pas légalement procéder à cette évaluation sans entrer dans le champ d'application de la présente loi et, par conséquent, satisfaire aux exigences de conformité.

Il est important de noter qu'un vaste marché de l'emploi et de la gestion des travailleurs est également concerné par cette réglementation. Premièrement, l'utilisation de l'IA pour le tri et le filtrage des CV est désormais encadrée : les entreprises doivent évaluer leur impact, enregistrer ces systèmes et se conformer aux normes de compétence. La supervision humaine et la documentation détaillée de leur activité sont essentielles. Il en va de même pour l'utilisation de modèles d'IA pour la répartition des tâches au travail et/ou l'évaluation des performances des employés.

Potentiellement, en cas de préjudice causé à une personne privée par l'exploitation d'une entreprise non conforme, Il sera considérablement plus facile de prouver leur faute — simplement en soulignant l'absence de preuves de conformité. 

Ceci nous amène à des conclusions importantes : suite à cette loi, les organisations travaillant avec des systèmes d’IA à haut risque et des modèles d’IA à usage général sont considérées comme présentant un risque systémique. doivent adopter des procédures internes de gestion des risques, de gestion de la qualité et de gouvernance, etc., qui doivent être démontrées à leurs clients — sur site et dans l'application. L'une de ces obligations — découlant de l'utilisation de modèles d'IA à usage général présentant un risque systémique, tels que ChatGPT, Claude, etc. — consiste à clairement Marquer tout contenu généré ou manipulé par l'IA, c'est-à-dire rédigé, édité, relu, etc.